[Linux/리눅스] SELinux 개념과 SELinux 모드

SELinux 가 필요한 이유 

보통 리눅스는 DAC 모델을 기준으로 접근제어를 한다. DAC 모델은 Discretionary Access Control 의 약자로, 이는 '사용자 권한'을 기준으로하여 파일이나 자원에 대한 접근 제어를 하는 것이다. 그러나 취약점이 존재한다면 그 취약점을 통해 시스템 권한 및 시스템 정보가 쉽게 탈취될 수 있다. SELinux 는 리눅스의 보안을 강화해주는 커널 모듈이다. 

MAC 모델 

SELinux 는 MAC 모델을 기반으로 한다. MAC 모델은 각 사용자나 프로세스, 파일에 보안 레이블을 지정한다. 이 보안레이블을 컨텍스트(context)라고 하며, 사용자나 프로세스에 지정된 컨텍스트와 파일에 지정된 컨텍스트가 연관성이 없으면 접근할 수 없다. 

ls -Z 명령어로 각 파일의 컨텍스트 정보를 확인할 수 있다. 

ls -Z

 

SELinux 동작 원리 

SELinux 에서 보안 레이블은 컨텍스트, 정책 허용 스위치는 부울 (boolean) 을 의미한다. SELinux를 활성화 하면 모든 프로세스와 파일에 컨텍스트가 부여하며, 프로세스가 파일에 접근할 때 프로세스의 컨텍스트가 파일의 컨텍스트에 접근할 수 있는 정책이 있는지 (부울 값) 확인한다. 

SELinux는 다음 네가지 사항을 설정해서 관리한다. 

1. 동작 모드 : SELinux 동작 제어
2. 파일 컨텍스트 : 파일에 대한 프로세스 접근제어
3. 포트 레이블 : 네트워크 포트에 대한 접근 제어
4. 부울 : 특정 기능에 대한 온/오프설정 (예외처리)

 

SELinux 모드 종류 

1. Disabled 모드 : SELinux 가 완전 비활성화 되어있는 상태이다. 시스템은 DAC 모델을 사용한다.

2. Enforcing 모드 : SELinux가 활성화 되어 있으며, SELinux 정책을 강제하는 모드이다. 

3. Permissive 모드 : SELinux가 활성화 되어 있지만 SELinux정책을 강제하지 않는다. 대신 정책을 위반했을 때 경고 메세지를 남긴다. 

SELinux 모드를 확인하기 위한 명령어는 getenforce 이다. 

getenforce

setenforce 를 통해 SELinux 모드를 바꿀 수 있다. 예시 ) setenforce 0 , setenforce 1 

setenforce [ Enforcing | Permissive | 1 | 0 ]